<html><head><meta http-equiv="Content-Type" content="text/html charset=utf-8"></head><body style="word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space;" class="">Inak, napadlo mi, ze webka beziaca na plain CGI s neupdatnutym Bashom sa vlastne da velmi jednoducho "DoS-ovat" z jedineho pocitaca s jedinym requestom. Staci ako user-agenta poslat fork-bomb :)<div class=""><br class=""></div><div class="">:(){ :|:& };:</div><div class=""><br class=""></div><div class="">V pripade vpsFree by toto bol celkom pruser, nakolko by to asi polozilo nielen danu VPS, ale zrejme celu masinu.</div><div class=""><br class=""><div><blockquote type="cite" class=""><div class="">On 29 Sep 2014, at 14:21, Stanislav Petr <<a href="mailto:glux@glux.org" class="">glux@glux.org</a>> wrote:</div><br class="Apple-interchange-newline"><div class=""><div class="">je uplne jedno jestli na danem serveru to lze zneuzit nebo ne. jde o to ze je to signal toho ze admin je ignorant a kasle na bezpecnostni aktualizace. a takovahle chyba bashe lze zneuzit nejen primo prez cgi, ale napriklad kombinaci s jinou chybou (ruzne formy injectingu v interpretovanych jazycich, atd...). takze rict ze nejakej server jenom proto ze nema pustenej apache neni zneuzitelnej proste nejde...<br class=""><br class=""><div class="gmail_quote">29. zářà 2014 13:42:37 CEST, Jirka Bourek <<a href="http://trekker.dk/" class="">trekker.dk</a>@abclinuxu.cz> napsal:<blockquote class="gmail_quote" style="margin: 0pt 0pt 0pt 0.8ex; border-left: 1px solid rgb(204, 204, 204); padding-left: 1ex;">
<pre class="k9mail">Petr Krcmar wrote:<br class=""><blockquote class="gmail_quote" style="margin: 0pt 0pt 1ex 0.8ex; border-left: 1px solid #729fcf; padding-left: 1ex;"> Dne 29.9.2014 v 10:34 Petr Krcmar napsal(a):<br class=""><blockquote class="gmail_quote" style="margin: 0pt 0pt 1ex 0.8ex; border-left: 1px solid #ad7fa8; padding-left: 1ex;"> V tuhle chvĂli dÄ›láme na tom, abychom zjistili, kterĂ© VPS jsou ještÄ›<br class=""> napadnutelnĂ©. Za chvĂli obejdeme všechny nainstalovanĂ© bashe a zkusĂme<br class=""> na nich upravenou promÄ›nnou. UpozornĂme uĹľivatele, kteřà ještÄ› nemajĂ<br class=""> záplatu (a zveĹ™ejnĂm nÄ›jakou statistiku).<br class=""></blockquote><br class=""> Hotovo, nezáplatovanĂ˝ch bylo 382 VPS, tedy vĂce neĹľ pĹŻlka (57 %).<br class=""> MajitelĹŻm šly maily s upozornÄ›nĂm. DĂky Tomsovi za pomoc.</blockquote><br class=""><br class="">ZajĂmalo by mÄ›, kolik z tÄ›ch "nezáplatovanĂ˝ch" VPS bylo skuteÄŤnÄ› <br class="">_zranitelnĂ˝ch_. Ono je jedna vÄ›c zkusit nÄ›kam zachrootovat a zkusit <br class="">binárku (nebo jak js
te to
testovali), ale druhá vÄ›c je, jestli na tom <br class="">serveru běžà nÄ›jakĂ© sluĹľby, pĹ™es kterĂ© se ta chyba opravdu dá zneuĹľĂt.<br class=""><hr class=""><br class="">Community-list mailing list<br class=""><a href="mailto:Community-list@lists.vpsfree.cz" class="">Community-list@lists.vpsfree.cz</a><br class=""><a href="http://lists.vpsfree.cz/listinfo/community-list" class="">http://lists.vpsfree.cz/listinfo/community-list</a><br class=""></pre></blockquote></div><br class="">
-- <br class="">
Odesláno z mĂ©ho telefonu s Androidem pomocĂ pošty K-9 Mail. Omluvte prosĂm moji struÄŤnost.</div>_______________________________________________<br class="">Community-list mailing list<br class=""><a href="mailto:Community-list@lists.vpsfree.cz" class="">Community-list@lists.vpsfree.cz</a><br class="">http://lists.vpsfree.cz/listinfo/community-list<br class=""></div></blockquote></div><br class=""></div></body></html>